Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich, um dem Kunden die Software Squadeck gemäß den AGB bereitzustellen. Der Vertrag gilt so lange, wie der Nutzungsvertrag besteht, und darüber hinaus, bis alle Daten gelöscht sind.

2. Art der Daten und betroffene Personen

• Betroffene: Mitarbeiter und Teammitglieder des Kunden, seine Kunden und deren Ansprechpartner, Nutzer des Kundenportals.
• Daten: Namen und Kontaktdaten, Rollen, Aufgaben, Aufträge, Kommentare und Chat-Nachrichten, Video-Links und Feedback, Termine, Arbeitszeiten und Leistungswerte, Rechnungs- und Buchhaltungsdaten, Bankverbindungen von Mitarbeitern (verschlüsselt), Profilbilder und hochgeladene Dateien.
• Besondere Kategorien von Daten (Art. 9 DSGVO) sind nicht vorgesehen und dürfen vom Kunden nicht gespeichert werden.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden; die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Nutzung der Software. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich.

4. Vertraulichkeit

Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Zugriffe auf Kundendaten erfolgen nur, soweit es für den Betrieb oder Support nötig ist.

5. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (HTTPS/TLS) für alle Verbindungen.
• Speicherung in Rechenzentren in der EU (Frankfurt am Main) mit physischer Zugangskontrolle durch den Hoster.
• Strikte Trennung der Firmen und rollenbasierte Zugriffsrechte, die direkt in der Datenbank durchgesetzt werden (Row Level Security).
• Zusätzliche Verschlüsselung besonders sensibler Daten (Bankverbindungen); geheime Schlüssel nur in der Server-Umgebung.
• Passwörter nur als sichere Hashwerte; Anmeldung optional über Google.
• Zeitstempel (z. B. erledigt, Arbeitszeit) setzt ausschließlich die Datenbank – sie können nicht manipuliert werden.
• Automatisierte Sicherheitstests der Zugriffsregeln bei Änderungen der Software.

6. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Supabase Inc. – Datenbank, Anmeldung, Dateispeicher; Server in Frankfurt am Main (EU)
• Vercel Inc. – Betrieb der Web-Anwendung; Auslieferung bevorzugt aus Frankfurt; Unternehmen in den USA (EU-US Data Privacy Framework, Standardvertragsklauseln)
• Anthropic PBC – KI-Assistent und Beleg-Erkennung – nur bei aktiver Nutzung; USA (Standardvertragsklauseln)
• Stripe Payments Europe, Ltd. – Zahlungsabwicklung (Abo-Daten des Kunden); Irland (EU)

Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter vorab per E-Mail oder in der App. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen; ist eine Einigung nicht möglich, kann er den Vertrag außerordentlich kündigen.

7. Unterstützung und Meldepflichten

Der Auftragsverarbeiter unterstützt den Kunden bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung usw.), bei Datenschutz-Folgenabschätzungen und bei Meldungen an Behörden. Verletzungen des Schutzes personenbezogener Daten meldet er dem Kunden unverzüglich, nachdem er davon Kenntnis erlangt hat.

8. Löschung nach Vertragsende

Nach Ende des Vertrags bzw. beim Löschen der Firma werden die Daten des Kunden nach einer Wiederherstellungsfrist von 30 Tagen endgültig gelöscht, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Exporte stellt die Software dem Kunden vorher zur Verfügung.

9. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind. Kontrollen vor Ort sind nach rechtzeitiger Ankündigung und zu üblichen Geschäftszeiten möglich, soweit erforderlich.

10. Sonstiges

Im Übrigen gelten die AGB. Bei Widersprüchen geht dieser Vertrag in datenschutzrechtlichen Fragen vor. Kontakt für Datenschutzfragen: hils.agency@gmail.com.